gegevensbescherming

Gegevensbescherming is het vakgebied dat de bescherming van persoonsgegevens tegen misbruik en onrechtmatige verwerking regelt. In de Europese Unie is dit vastgelegd in de Algemene Verordening Gegevensbescherming (AVG), die in 2018 in werking trad en in Nederland verder is geïmplementeerd. De regels gelden voor organisaties die persoonsgegevens verwerken, ongeacht of zij publiek of privaat zijn, en ook voor aanbieders buiten de EU die goederen of diensten aan EU-burgers aanbieden of het gedrag van Europese personen volgen. Het doel is transparantie en respect voor de grondrechten van individuen.

Belangrijke begrippen en beginselen zijn onder meer persoonsgegevens en verwerking, en de rechtsgrond voor verwerking (toestemming, contractuele noodzaak, wettelijke verplichting, vitale belangen, publiek belang of gerechtvaardigd belang). De beginselen van rechtmatigheid, eerlijkheid en transparantie, doelbinding, gegevensminimalisatie, juistheid, opslagbeperking, integriteit en vertrouwelijkheid en verantwoording staan centraal. Privacy by design en by default is vereist. Voor verwerkingen met verhoogd risico is vaak een Data Protection Impact Assessment (DPIA) nodig en zijn duidelijke verwerkersafspraken vereist.

Betrokkenen hebben rechten zoals inzage, rectificatie, wissing, beperking, dataportabiliteit, bezwaar en niet-geautomatiseerde of geautomatiseerde besluitvorming. Organisaties moeten datalekken melden aan de toezichthouder (vaak binnen 72 uur) en, waar nodig, aan de betrokkenen. Transfer van persoonsgegevens buiten de EU vereist passende waarborgen of een adequaatheidsbesluit. Toezicht en handhaving liggen bij nationale toezichthouders, zoals de Autoriteit Persoonsgegevens in Nederland, en op EU-niveau bij de EDPB; overtredingen kunnen leiden tot boetes en verplichtingen tot herstelmaatregelen.